Что такое целевая обработка персональных данных и как ее обеспечить?

Согласно ч.2 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее – Закон о персональных данных) Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

То есть такой характер ОПД подразумевает, что она ограничена достижением конкретной цели. Это означает, что все действия оператора ПД с персональными данными должны быть связаны с той целью, с которой он их получил.

К административной ответственности за нарушение правил ОПД в части целевой обработки оператора могут привлечь, если он будет осуществлять ОПД в целях, несовместимых с целями сбора (ч. 1 ст. 13.11 КоАП РФ).

У оператора должны быть заранее определены законные и конкретные цели обработки персональных данных и все его действия с персональными данными должны этим целям соответствовать (ч. 2, 5 ст. 5 Закона о персональных данных).

Как и чем характеризуется цель ОПД?

Цель должна быть:

1) законной;

2) заранее определенной. 

Еще до начала обработки оператор обязан определить цели ОПД. Для этого оператор указывает цель в согласии на обработку персональных данных. Роскомнадзор рекомендует операторам ПД также закрепить эти цели в локальном акте, который регулирует ОПД («Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года N 152-ФЗ «О персональных данных»).

Цель обработки должна соответствовать деятельности оператора. То есть образовательная организация осуществляет ОПД с целями, непосредственно связанными с получением детьми того или иного вида образования.

3) конкретной. 

Оператор не должен использовать абстрактные формулировки, нужно указать цель максимально конкретно. В целом, бланки согласия на ОПД в образовательных организациях стандартные, но все же формулировки должны быть таковы, чтобы их содержание родители понимали, поскольку субъект ПД (его представитель) должен четко понимать, на что именно дает согласие.

Как убедиться, что оператор осуществляет именно целевую обработку персональных данных?

Обработка персональных данных является целевой, если соответствует следующим критериям (ч. 3 - 7 ст. 5 Закона о персональных данных):

1) содержание и объем данных соответствуют целям их обработки, то есть оператор не обрабатывает избыточные данные. Избыточным может быть признано получение данных, никак не связанных с получением образования. Например, если школа просит сообщить данные для так называемого «социального паспорта семьи» - какое у семьи благосостояние, сколько комнат в квартире, не ссорятся ли родители и тп;

2) оператор не вправе обрабатывать в одной базе данные, обработка которых осуществляется в целях, не совместимых между собой. Например, медицинские данные (если не отказались от профилактического мед вмешательства в школе) обрабатываются отдельно медработником, а не включены в электронный журнал, как это бывает при АОПД;

3) оператор обеспечивает точность и достаточность, а при необходимости и актуальность данных по отношению к целям их обработки. Также оператор должен обеспечить удаление или уточнение неполных или неточных данных;

4) оператор уничтожает данные, если цели обработки достигнуты или утрачена необходимость в их достижении (если законом не предусмотрено иное). Например, если ребенок переведен в другую образовательную организацию или закончил обучение, то ОПД прекращается, личное дело больше не ведется. Или, другой пример: оператор не должен хранить документы, содержащие персональные данные, дольше, чем это необходимо в целях бухгалтерского и налогового учета.

Напомним, что наш пошаговый алгоритм о том, как отказаться от обработки персональных данных автоматизированным способом в образовательных организациях и от электронных госуслуг в сфере образования – здесь

Пошаговый Алгоритм отказа от АОПД, электронных госуслуг в сфере образования, электронного журнала и дневника в ШКОЛЕ

более подробный вариант того же алгоритма, но с детальными разъяснениями – здесь Как правильно отказаться от ОПД в образовательных организациях?

Также могут быть интересны следующие материалы:

Что важно учитывать в вопросах согласия или отказа от ОПД?

Когда невозможно отказаться от ОПД?

Недопустимость отказа в отзыве согласия на ОПД. Произвольное толкование закона в свою пользу для ограничения прав школьников и их семей

Согласие на обработку персональных данных при медицинском вмешательстве

Что делать если банк незаконно слил вашу биометрию в ЕБС (например, Тинькофф)